Mobile-Menu

Keynote von Paula Januszkiewicz Cyberangriff auf das Active Directory – Das ist jetzt zu tun!

Von Melanie Staudacher 4 min Lesedauer

Anbieter zum Thema

WatchGuard Technologies GmbH
mibeca GmbH – Mike Bergmann Akademie
XOPERO SOFTWARE S.A.

Das Active Directory ist das Herzstück vieler Unternehmensnetzwerke. Wird es kompromittiert, geraten IT-Abteilungen in höchste Alarmbereitschaft. Paula Januszkiewicz zeigte auf der IT-Defense 2025 konkrete Maßnahmen.

Paula Januszkiewicz, Gründerin und CEO von Cqure, einem polnischen Unternehmen, dass sich auf Cybersicherheitsdienstleistungen spezialisiert hat, bei der IT-Defense 2025(Bild: cirosec GmbH)
Paula Januszkiewicz, Gründerin und CEO von Cqure, einem polnischen Unternehmen, dass sich auf Cybersicherheitsdienstleistungen spezialisiert hat, bei der IT-Defense 2025
(Bild: cirosec GmbH)

Wird das Active Directory (AD) kompromittiert, geraten IT-Abteilungen in höchste Alarmbereit­schaft. Denn ein Angriff auf das AD bedeutet, dass Cyberangreifer möglicherweise volle Kontrolle über Benutzerkonten, Systeme und kritische Unternehmensdaten erlangen. Unternehmen stehen dann vor der Herausforderung, den Schaden zu begrenzen, die Angreifer aus dem System zu drängen und die Infrastruktur sicher wiederherzustellen.

Laut einer aktuellen Analyse von Paula Januszkiewicz, einer international anerkannten IT-Sicherheitsexpertin und CEO von Cqure, ist eine schnelle und koordinierte Incident-Response-Strategie entscheidend. In ihrem Vortrag auf der IT-Defense 2025 in Leipzig stellte sie einen detaillierten Plan vor, um nach einem AD-Angriff die Kontrolle zurückzugewinnen.

Erste Schritte nach einem Angriff auf das Active Directory

Ein Angriff auf das AD erfordert schnelles Handeln. Unternehmen müssen umgehend ihre Backup-Strategie verfolgen, um das System wiederherzustellen und gleichzeitig alle wichtigen Beweise für forensische Analysen zu sichern. Zunächst sollte eine Sicherung des Domain Controllers (DC) aus der Zeit vor dem Cyberangriff wiederhergestellt werden. Falls keine unkompromittierte Sicherung existiert, muss ein manuelles Bereinigen der AD-Struktur erfolgen. Zusätzlich sollten aktuelle Backups des kompromittierten DCs erstellt werden, da sie wichtige forensische Informationen enthalten.

Um weiteren Schaden zu verhindern, ist es Januszkiewicz zufolge unerlässlich, alle Benutzerpasswörter zurückzusetzen – und zwar zweimal, im Idealfall einmal vom Admin und einmal vom Nutzer. Dieser Schritt sei notwendig, um sicherzustellen, dass Angreifer keine zwischengespeicherten Zugangsdaten mehr nutzen können. Gleiches gilt für Administrator-Konten und Service-Accounts, da diese oft das primäre Ziel eines Angriffs sind. Besondere Aufmerksamkeit verdient das KRBTGT-Konto (Kerberos Ticket Granting Ticket), das für die Kerberos-Authentifizierung genutzt wird. Ein kompromittiertes KRBTGT-Konto ermöglicht es Angreifern, ein Golden Ticket zu erstellen – eine Technik, mit der sie sich unbegrenzt Zugang zum Netzwerk verschaffen können. Auch hier muss das Passwort zweimal geändert werden, wobei die genaue Anleitung befolgt werden sollte, damit keine Probleme bei der Replikation auftreten.

Nicht zuletzt müssen auch Computer-Konten zurückgesetzt werden. Denn Angreifer nutzen oft Pass-the-Hash-Techniken, um sich persistenten Zugang zu verschaffen. Zudem können Kriminelle die standardmäßige Passwortänderungsfrist, die normalerweise 30 Tage beträgt, manipulieren, um ihren Zugriff auf das Netzwerk langfristig zu sichern.

Bereinigung nach dem AD-Angriff

Nachdem die dringendsten Maßnahmen umgesetzt wurden, beginnt die eigentliche Aufräumarbeit. Es gilt, alle möglichen Hintertüren zu identifizieren und zu schließen, damit Angreifer nicht erneut ins System eindringen können. Ein wichtiger Schritt ist das Zurücksetzen aller LAPS-Passwörter. Microsofts Local Administrator Password Solution (LAPS) speichert Administrator-Passwörter automatisch und sollte nach einem Angriff vollständig erneuert werden. Ebenso müssen die Berechtigungen des AdminSDHolder-Objekts geprüft und zurückgesetzt werden, da Angreifer dieses oft manipulieren, um sich dauerhaft Administratorrechte zu sichern.

Besonders kritisch ist Januszkiewicz zufolge die Active-Directory-Zertifizierungsstelle (ADCS). Manipulierte Zertifikate könnten es Angreifern ermöglichen, sich weiterhin als berechtigte Benutzer auszugeben. Daher müssen alle Zertifikate widerrufen und neu ausgestellt werden. Um sicherzugehen, dass keine weiteren Angriffsvektoren bestehen, sollten geplante Aufgaben und WMI-Filter (Windows Management Instrumentation) überprüft werden. Oft hinterlassen Angreifer persistente Malware über Scheduled Tasks oder WMI-Events. Auch Autorun-Einträge in der Registry müssen kontrolliert werden, da dort Schadsoftware eingebettet sein könnte.

Eine oft übersehene Gefahr sind zudem manipulierte Gruppenrichtlinien (GPOs). Angreifer nutzen diese, um Sicherheitseinstellungen zu deaktivieren oder bösartige Skripte im Netzwerk zu verbreiten. Jede GPO sollte daher sorgfältig überprüft und gegebenenfalls zurückgesetzt werden. Und auch Drucker und Druckertreiber sind weitere Angriffsvektoren. Unternehmen sollten alle Druckertreiber und -objekte auf Anomalien untersuchen. Da viele Unternehmen ihre Infrastruktur bereits mit Azure AD verknüpft haben, müssen auch Token-Signatur- und Entschlüsselungszertifikate in den Active Directory Federation Services (ADFS) erneuert werden. Besonders kritisch sind Service-Control-Manager-Sicherheitsrichtlinien, da Angreifer oft Systemdienste missbrauchen, um sich versteckt im Netzwerk zu halten.

Langfristige Absicherung des Active Directory

Zumindest zeigt ein erfolgreicher Cyberagriff auf das Active Directory meist auf, wo Sicherheits­lücken im Netzwerk bestehen, schließt Januszkiewicz. Deshalb müssen Unternehmen nach der Wiederherstellung ihre Systeme und das Active Directory proaktiv härten, um zukünftige Attacken zu verhindern. Als ersten Schritt benennt die Expertin die Überprüfung aller Gruppen­mitglied­schaften anhand sogenannter Baselines, die den normalen, sicheren Zustand des Systems beschreiben. Anhand dieser Baselines lassen sich unerwünschte Berechtigungs­änderungen identifizieren. Tools wie PingCastle und das MITRE ATT&CK Framework helfen dabei, potenzielle Schwachstellen zu erkennen und das AD gezielt zu härten.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Besonders wichtig ist die Überprüfung von Anmelde-Skripten in Gruppenrichtlinien und System Volumes. Diese missbrauchen Angreifer gerne, um sich selbst persistente Zugriffsrechte zu verschaffen. Zusätzlich sollten alle Cloud-Integrationen mit Azure AD abgesichert werden. Dazu gehört das Ändern der Anmeldeinformationen für Azure AD Connect, um sicherzustellen, dass Angreifer keinen Zugriff mehr auf hochprivilegierte Konten haben. Nach einem Angriff müssen Unternehmen außerdem alle Benutzerpasswörter ändern und erzwingen, dass sich jeder Mitarbeiter erneut authentifiziert. Hierzu empfiehlt Januszkiewicz die Funktion „Revoke-AzureADUserAllRefreshToken“, um alle bestehenden Tokens zurückzusetzen.

Nicht zu vergessen ist die Überprüfung aller API-Berechtigungen und OAuth-Token in Azure AD. Denn Cyberkriminelle könnten OAuth-Token missbrauchen, um langfristigen Zugriff auf Cloud-Ressourcen zu behalten. Auch PKI-Zertifikate und NTAuth-Registrierungen müssen geprüft werden, um sicherzustellen, dass keine gefälschten Zertifikate im Umlauf sind.

(ID:50340139)

Weiterführende Inhalte

Jobs